Декодер JWT

Вставте будь-який JWT, щоб миттєво розшифрувати його заголовок і корисне навантаження — перевіряйте claims, час дії токена та підпис, не виходячи з браузера і не надсилаючи дані нікуди.

Що таке Декодер JWT?

JWT (JSON Web Token) — це стандартний спосіб, яким сучасні веб-API представляють claims автентифікації та авторизації. Це компактний, самодостатній токен із трьох частин — заголовка, що описує алгоритм підпису, корисного навантаження з фактичними claims (ідентифікатор користувача, ролі, термін дії) і підпису, що дозволяє серверу-отримувачу перевірити, що токен не було підроблено.

Цей декодер миттєво зчитує заголовок і корисне навантаження, щоб ви могли налагоджувати проблеми з автентифікацією, перевіряти, які claims насправді надсилає API, або дізнатися, коли закінчується термін дії токена — і все це без бекенду, консольного інструмента чи вставляння чутливих токенів на сторонній сервер, оскільки все виконується локально у вашому браузері.

Формула

JWT = base64Url(header) + "." + base64Url(payload) + "." + base64Url(signature)

Декодування: розділити за ".", декодувати перші дві частини з Base64URL, розпарсити як JSON.

Перевірка (тут не виконується): HMACSHA256(base64Url(header) + "." + base64Url(payload), secret) === signature

Як розрахувати

Вставте свій JWT у поле вводу або натисніть «Завантажити приклад», щоб спробувати готовий приклад.
Заголовок і корисне навантаження декодуються автоматично під час введення.
Перегляньте claims, такі як iss, sub, exp та iat, у зрозумілому вигляді.
Claims із мітками часу (exp, iat, nbf) автоматично перетворюються на читабельні дати.

Приклад

Токен, що починається з eyJhbGciOiJIUzI1NiJ9, розшифровується в заголовок {"alg":"HS256","typ":"JWT"} — це означає, що токен підписано за допомогою HMAC-SHA256.

Ключові переваги

Миттєве декодування будь-якого JWT без бекенду чи консольного інструмента
Усе виконується на стороні клієнта — токени ніколи не надсилаються на сервер
Автоматичне перетворення claims із мітками часу на читабельні дати
Безкоштовно, без реєстрації, працює з будь-яким JWT незалежно від алгоритму

Поширені помилки

Вважати декодований JWT перевіреним JWT — декодування лише зчитує вміст, а не підтверджує автентичність
Зберігання чутливих даних (паролів, секретів) у корисному навантаженні, забуваючи, що воно доступне для читання будь-кому
Вставляння токенів із робочого середовища в ненадійні онлайн-декодери
Плутання 'exp' (закінчення терміну дії) з 'iat' (час видачі) під час налагодження проблем із терміном дії токена

Поради

Завжди перевіряйте 'exp' першим під час налагодження помилки «unauthorized» — прострочений токен є найпоширенішою причиною
Порівнюйте 'alg' у заголовку з тим, що очікує ваш бекенд, щоб виявити помилки невідповідності алгоритму
Ніколи не довіряйте декодованому корисному навантаженню як доказу особи без перевірки підпису на сервері
Використовуйте короткострокові токени з refresh-токенами замість довгострокових JWT, щоб обмежити наслідки витоку

Ключові терміни

Claim: фрагмент інформації, заявлений про суб'єкт, наприклад ідентифікатор користувача чи роль
Заголовок (Header): перший сегмент JWT, що визначає алгоритм підпису та тип токена
Корисне навантаження (Payload): другий сегмент JWT, що містить фактичні claims
Підпис (Signature): третій сегмент JWT, що використовується для перевірки того, що токен не було змінено

Типові випадки використання

Налагодження причини, чому API відхиляє токен, шляхом перевірки його claims
Перевірка часу дії токена під час розслідування звернення в службу підтримки
Перевірка того, що постачальник SSO чи OAuth видає саме ті claims, які ви очікуєте
Вивчення структури JWT для підготовки до співбесіди або навчального курсу
Швидка перевірка токена, скопійованого з інструментів розробника браузера або логів сервера

Часті запитання

Що таке JWT?

JSON Web Token (JWT) — це компактний, безпечний для URL спосіб передавати claims між двома сторонами. Він складається з трьох частин, закодованих у Base64URL і розділених крапками: заголовка, корисного навантаження та підпису.

Чи безпечно вставляти свій JWT у цей інструмент?

Декодування відбувається повністю у вашому браузері за допомогою JavaScript — токен ніколи не надсилається на жоден сервер. Проте ставтеся до JWT як до паролів: уникайте вставляння токенів з робочих (production) систем у будь-який онлайн-інструмент, включно з цим.

Чому цей інструмент не може перевірити підпис?

Для перевірки підпису JWT потрібен секретний ключ (для алгоритмів HMAC) або публічний ключ (для алгоритмів RSA/ECDSA), який має лише сервер, що видав токен. Цей інструмент лише декодує читабельні заголовок і корисне навантаження — він ніколи не має доступу до цього ключа.

Що означає claim 'exp'?

'exp' (Expiration Time) — це Unix-мітка часу, яка вказує, коли токен перестає бути дійсним. Цей інструмент автоматично перетворює її на читабельну дату, щоб ви могли швидко перевірити, чи не закінчився термін дії токена.